Windows-toimialueen Domain Admins -oikeuksien kaventaminen

Abstract

Tässä energia-alan yritykselle tehdyssä insinöörityöprojektissa vähennettiin Domain Admins -ryhmän jäseniä. Kriittisen infrastruktuurin yrityksessä huoltovarmuus on aina motiivina tietoturvatyössä. Työ perustuu siis vahvasti ISO/IEC 27001 -standardiin, jonka vaatimuksista yksi on mahdollisimman pienet käyttöoikeudet.

Eräs tietoturvan perusasioista on niin sanottu CIA-malli, joka muodostuu kolmesta tekijästä: luottamuksellisuus (confidentiality), eheys (integrity) ja saatavuus (availability). Tämä vaatii tuekseen muiden tietoturvakontrollien lisäksi käyttöoikeuksien hallintaa. Käyttöoikeuksien merkitys tietoturvalle tulee parhaiten esiin haittaohjelmien tavassa toimia kirjautuneen käyttäjän oikeuksilla.

Järjestelmä, jonka puitteissa projekti tehtiin, on Microsoft Windows Active Directory. Domain Admins -ryhmä on yksi sen tärkeimmistä käyttöoikeusryhmistä, mutta se on lukuisissa organisaatioissa aivan liian laajassa käytössä. Sen tarkoitus on antaa oikeuksia Windows-toimialueen ylläpitoon, mutta sitä usein käytetään yleisenä ylläpitoryhmänä.

Projektissa päädyttiin poistamaan kaikki ylläpitäjät Domain Admins -ryhmästä ja luomaan muutama erillistunnus toimialueen ylläpitäjille. Muille ylläpitäjille luotiin uusi käyttöoikeusryhmä, jolla korvattiin ne menetetyt oikeudet, jotka olivat työtehtävien kannalta tarpeellisia.

Projektin alussa tunnistettiin lähinnä käyttöoikeuksien vajauksiin liittyviä ongelmista, mutta todelliset ongelmat olivat ajankäytössä, tiedottamisessa ja tehtävien delegoinnissa. Näiden tunnistamattomien riskien toteutuminen vaikutti myös tunnistettujen riskien toteutumiseen.

Pääosa toteutuksen aikana esiin tulleista ongelmat saatiin korjattua ensimmäisen viikon aikana, eikä vakavia ongelmia jäänyt. Projektin tavoitteet saavutettiin ja käyttöoikeudet ovat nyt hyväksyttävällä tasolla. Kohteena olleiden ylläpitäjien työ ei lopulta kärsinyt niin paljon kuin oli pelätty.

In this thesis project, done for an energy company, the number of the members of the Domain Admins group was reduced. In a critical infrastructure company, the security of the infrastructure is always an important motivation in the cyber security work. As such this project was heavily based on the ISO/IEC 27001 standard, which includes the principle of the least privilege.

One of the basics of cyber security is the CIA-model, which is comprised of confidentiality, integrity and availability. This needs the support of several security controls, among them user rights management. The importance of proper user rights is highlighted in the way malware functions within the limits of the signed in user.

The system within which the project was implemented is the Microsoft Windows Active Directory. The Domain Admins group is one of the most important of its user rights groups, but it is in far too general use in numerous organisations. The group is meant for granting rights for the management of the Windows domain, but often it is used as a general management group.

In the project all the administrators were removed from the Domain Admins group and a few dedicated user accounts were created for those who manage the domain. The other administrators were placed in a new rights group, which replaced those rights which were necessary for work.

At the beginning of the project, most of the risks recognised concerned the possible lack of rights in the affected user accounts, but the real risks were in time management, information flow and delegation of tasks. The realisation of the unrecognised risks affected the realisation of the recognised risks.

Most of the problems that appeared during the execution were solved within the first week, and no serious problems remained. The goals of the project were achieved, and the user rights are now on an acceptable level. The work of the affected administrators did not suffer as much as was feared.